{"id":32848,"date":"2019-10-31T21:49:16","date_gmt":"2019-10-31T18:49:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi\/"},"modified":"2019-10-31T21:49:16","modified_gmt":"2019-10-31T18:49:16","slug":"vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","title":{"rendered":"Incorpora el an\u00e1lisis est\u00e1tico en el proceso, en lugar de buscar errores con \u00e9l.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Lo que me inspir\u00f3 a escribir este art\u00edculo fue la gran cantidad de materiales sobre an\u00e1lisis est\u00e1tico que cada vez m\u00e1s a menudo caen en mis manos. En primer lugar, esta es el blog de PVS-studio<\/a><\/noindex>, que se promociona activamente en Habr mediante rese\u00f1as de errores que su herramienta ha encontrado en proyectos de c\u00f3digo abierto. Recientemente, PVS-studio implement\u00f3 soporte para Java<\/a><\/noindex>, y, por supuesto, los desarrolladores de IntelliJ IDEA, cuyo analizador integrado es, hoy en d\u00eda, probablemente el m\u00e1s avanzado para Java, no podr\u00edan quedarse al margen.<\/a><\/noindex>. <\/p>\n

Al leer tales rese\u00f1as, se tiene la sensaci\u00f3n de que se habla de un elixir m\u00e1gico: presiona un bot\u00f3n y ah\u00ed est\u00e1, una lista de defectos ante tus ojos. Parece que a medida que los analizadores mejoran, se encontrar\u00e1n cada vez m\u00e1s errores autom\u00e1ticamente, y los productos escaneados por estos robots se volver\u00e1n cada vez mejores, sin ning\u00fan esfuerzo de nuestra parte.<\/p>\n

Pero no existen elixires m\u00e1gicos. Me gustar\u00eda hablar sobre lo que normalmente no se menciona en publicaciones como \"esto es lo que puede encontrar nuestro robot\": lo que los analizadores nunca podr\u00e1n hacer, cu\u00e1l es su verdadero papel y lugar en el proceso de entrega de software, y c\u00f3mo implementarlos correctamente.<\/p>\n

\"Incorpora
\nRattrapante (fuente: wikipedia<\/a><\/noindex>).<\/i>
\n<\/a><\/noindex><\/p>\n

)<\/h2>\n

\nLo que los analizadores est\u00e1ticos nunca podr\u00e1n hacer<\/p>\n

\u00bfQu\u00e9 es, desde un punto de vista pr\u00e1ctico, el an\u00e1lisis de c\u00f3digo fuente? Proporcionamos ciertos fuentes como entrada, y en poco tiempo (mucho m\u00e1s corto que ejecutar pruebas) obtenemos cierta informaci\u00f3n sobre nuestro sistema. La limitaci\u00f3n fundamental y matem\u00e1ticamente insuperable es que solo podemos obtener, de esta manera, una clase bastante restringida de informaci\u00f3n. El ejemplo m\u00e1s famoso de un problema que no puede resolverse mediante an\u00e1lisis est\u00e1tico es<\/a><\/noindex>el problema de la parada : esta es una teorema que demuestra que es imposible desarrollar un algoritmo general que, dada el c\u00f3digo fuente de un programa, determine si se quedar\u00e1 en un bucle o terminar\u00e1 en un tiempo finito. Una extensi\u00f3n de este teorema es la del teorema de Rice.<\/a><\/noindex>, que establece que para cualquier propiedad no trivial de funciones computables, la determinaci\u00f3n de si un programa arbitrario calcula una funci\u00f3n con dicha propiedad es una tarea algor\u00edtmicamente irreducible. Por ejemplo, es imposible escribir un analizador que, dado cualquier c\u00f3digo fuente, determine si el programa analizado es una implementaci\u00f3n de un algoritmo que, digamos, calcula el cuadrado de un n\u00famero entero.<\/p>\n

Por lo tanto, la funcionalidad de los analizadores est\u00e1ticos tiene limitaciones insuperables. Un analizador est\u00e1tico nunca podr\u00e1 en todos los casos determinar cosas como, por ejemplo, la aparici\u00f3n de un \"null pointer exception\" en lenguajes que permiten el valor null, o en todos los casos determinar la aparici\u00f3n de \"attribute not found\" en lenguajes con tipado din\u00e1mico. Todo lo que puede hacer el analizador est\u00e1tico m\u00e1s avanzado es se\u00f1alar casos particulares, cuyo n\u00famero entre todos los posibles problemas con su c\u00f3digo fuente es, sin exagerar, una gota en el oc\u00e9ano.<\/p>\n

El an\u00e1lisis est\u00e1tico no es la b\u00fasqueda de errores.<\/h2>\n

\nDe lo anterior se deduce la conclusi\u00f3n: el an\u00e1lisis est\u00e1tico no es un medio para reducir la cantidad de defectos en el programa. Me atrever\u00eda a afirmar que, al aplicarlo por primera vez a su proyecto, encontrar\u00e1 en el c\u00f3digo lugares 'interesantes', pero, lo m\u00e1s probable, no encontrar\u00e1 defectos que afecten la calidad de funcionamiento de su programa.<\/p>\n

Los ejemplos de defectos encontrados autom\u00e1ticamente por analistas son impresionantes, pero no hay que olvidar que estos ejemplos se encuentran mediante el escaneo de un gran conjunto de bases de c\u00f3digo grandes. De la misma manera, los hackers que tienen la capacidad de probar varias contrase\u00f1as sencillas en numerosas cuentas, eventualmente encontrar\u00e1n las cuentas que tienen una contrase\u00f1a sencilla.<\/p>\n

\u00bfSignifica esto que el an\u00e1lisis est\u00e1tico no debe aplicarse? \u00a1Por supuesto que no! Y exactamente por la misma raz\u00f3n por la cual se debe verificar cada nueva contrase\u00f1a para ver si se encuentra en la lista de 'contrase\u00f1as sencillas'.<\/p>\n

El an\u00e1lisis est\u00e1tico es m\u00e1s que la b\u00fasqueda de errores.<\/h2>\n

\nDe hecho, las tareas que se pueden resolver pr\u00e1cticamente mediante el an\u00e1lisis son mucho m\u00e1s amplias. En general, el an\u00e1lisis est\u00e1tico consiste en cualquier verificaci\u00f3n del c\u00f3digo fuente que se realice antes de su ejecuci\u00f3n. Aqu\u00ed hay algunas cosas que se pueden hacer:<\/p>\n